Debian DSA-1904-1：wget - 不十分な入力検証

medium Nessus プラグイン ID 44769

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Daniel Stenberg 氏は、HTTP（S）と FTP を使用して Web からファイルを取得するネットワークユーティリティである wget が、少し前に Blackhat カンファレンスで公表された「Null Prefix Attacks Against SSL/TLS Certificates」（SSL/TLS 証明書に対する Null プレフィックス攻撃）に対して脆弱であることを発見しました。これにより、攻撃者は、共通名フィールドに null バイトが注入されている細工された ITU-T X.509 証明書を通じて、検出されていない中間者攻撃を仕掛けることができます。

ソリューション

wget パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、この問題はバージョン 1.10.2-2+etch1 で修正されています。

安定版（stable）ディストリビューション（lenny）では、この問題はバージョン 1.11.4-2+lenny1 で修正されています。